Aneks A, deo 9: A.5.35–5.37 — Nezavisna provera i usklađenost

Deveti i poslednji deo posvećen organizacionim kontrolama. Ove tri kontrole zatvaraju poglavlje A.5 — trideset sedam kontrola koje smo prošli kroz devet tekstova — i postavljaju pitanje koje bi trebalo da bude poslednje na umu, ne prvo: da li firma zaista radi ono što tvrdi da radi?

Šta ove kontrole traže

A.5.35 — Nezavisna provera bezbednosti informacija. Pristup firme upravljanju bezbednošću informacija — ljudi, procesi, tehnologija — treba nezavisno da se pregleda u planiranim intervalima, ili kad se dese značajne promene.

A.5.36 — Usklađenost sa politikama, pravilima i standardima za bezbednost informacija. Usklađenost sa politikom, tematskim politikama, pravilima i standardima firme treba redovno da se proverava — ne da li sistem kao celina ispunjava standard, nego da li se ljudi u svakodnevnom radu zaista pridržavaju sopstvenih pravila.

A.5.37 — Dokumentovane operativne procedure. Operativne procedure za obradu informacija treba da budu dokumentovane i dostupne zaposlenima kojima su potrebne — konkretni, korak-po-korak dokumenti, ne samo opšte politike.

Zašto su ove kontrole bitne

Ovde vredi biti iskren oko preklapanja: A.5.35 je vrlo bliska klauzuli 9.2, internom auditu, koju smo detaljno obradili u glavnoj seriji. Razlika je u nivou. Interni audit iz 9.2 proverava da li sistem ispunjava zahteve standarda i sopstvene procedure — mehanička, redovna provera usklađenosti. A.5.35 traži nešto šire: povremen, svež pogled na to da li je čitav pristup i dalje pravi — da li su prioriteti još uvek ispravni, da li je nešto u pristupu zastarelo, čak i ako svaka pojedinačna kontrola formalno „prolazi". A.5.36 ide u suprotnom pravcu, ka detaljima — ne da li sistem radi u celini, nego da li se konkretna pravila zaista poštuju u svakodnevnom radu. A.5.37 obezbeđuje da se ta pravila uopšte mogu dosledno primeniti, jer postoje jasna uputstva kako, ne samo šta.

Primer iz prakse

A.5.35, svež pogled posle tri godine: knjigovodstvena agencija je za redovni interni audit iz klauzule 9.2 koristila istog konsultanta koji je pomagao u implementaciji — praktično, jer poznaje firmu. Ali za treću godinu, uoči druge resertifikacije, vlasnica je odlučila da dodatno angažuje potpuno drugu osobu, nekoga ko nikad nije bio uključen u sistem, da jednokratno pregleda ceo pristup sa svežim očima. Ta osoba je postavila pitanje na koje niko iznutra više nije ni pomišljao: da li registar rizika i dalje odražava stvarno poslovanje agencije, s obzirom da se broj klijenata u međuvremenu skoro udvostručio? Pitanje koje bi, verovatno, promaklo svakome ko je predugo unutar istog sistema.

A.5.36, spot-provera koja je otkrila sitan, ali stvaran propust: koordinatorka je, nezavisno od godišnjeg internog audita, povremeno sprovodila kratke, neformalne provere — na primer, nasumičan pregled nedavne aktivnosti deljenja fajlova, da proveri da li se svi drže politike prihvatljive upotrebe uvedene posle slučaja sa ličnim nalogom za deljenje fajlova, opisanog u tekstu o klauzuli 8.1. Kroz jednu takvu proveru otkrila je da je jedan zaposleni počeo da vodi beleške sa sastanaka sa klijentima u ličnoj aplikaciji za beleške, koja nije bila deo odobrenih alata — sitna, nezlonamerna navika, ali tačno ona vrsta odstupanja koju bi godišnji audit verovatno propustio, jer se dešava tiho, između dva zvanična pregleda.

A.5.37, razlika između pravila i uputstva: politika kontrole pristupa, pomenuta u ranijim delovima serije, kaže šta treba da se desi — novi zaposleni dobija individualni nalog sa dvofaktorskom autentifikacijom tek posle potpisanog ugovora o poverljivosti. Ono što do sada nismo pokazali jeste operativna procedura koja kaže tačno kako — korak po korak uputstvo koje IT saradnik prati svaki put: koji tačno meni u administraciji cloud platforme se otvara, koje polje se popunjava, kako se generiše privremena lozinka, kako se šalje bezbedno novom zaposlenom. Kad je spoljni IT saradnik bio na godišnjem odmoru, a trebalo je hitno kreirati nalog za novog zaposlenog, koordinatorka je, uz pomoć tog istog dokumenta, sama sprovela ceo proces bez greške — nešto što bez zapisane procedure ne bi bilo moguće, koliko god dobro poznavala politiku.

Gde se dokumentuje

A.5.35 dokumentuje se kroz kratak izveštaj sa svakog nezavisnog pregleda, uključujući ko ga je sproveo i kada. A.5.36 dokumentuje se kroz kratke beleške sa spot-provera — datum, šta je provereno, nalaz, ako ga ima. A.5.37 dokumentuje se kao zbirka konkretnih, korak-po-korak uputstava za operacije koje se ponavljaju — kreiranje naloga, obnavljanje iz rezervne kopije, gašenje pristupa — dostupna svima kojima mogu zatrebati, ne zaključana kod jedne osobe.

Najčešća greška

Najčešća greška kod A.5.35 je oslanjanje isključivo na istog auditora godinu za godinom — osoba koja predobro poznaje sistem lako prestane da postavlja pitanja koja bi neko sa strane odmah primetio. Kod A.5.36, greška je čekanje na godišnji audit kao jedinu proveru usklađenosti — kao što primer iznad pokazuje, sitna odstupanja se najbolje hvataju kroz kraće, češće, neformalne provere. Kod A.5.37, najčešća greška je oslanjanje na to da „to svi znaju kako se radi" — dok god je samo jedna osoba, procedura postoji samo u njenoj glavi, i nestaje sa njom ako ta osoba ode ili je jednostavno nema na poslu kad je najpotrebnija.

Šta sledi

Ovim se zatvara poglavlje A.5 — organizacione kontrole, trideset sedam kontrola kroz devet tekstova. Sledeći deo serije prelazi na poglavlje A.6 — ljudske kontrole, počevši od onoga što se dešava pre i tokom zapošljavanja, teme koju smo kroz čitav blog dodirivali, ali nikad detaljno obradili kao samostalnu celinu.